Aus unserem Fragenpool von 150 IHK-Prüfungsfragen nach offiziellem ZPA/AkA-Wortlaut. Bearbeiten Sie die Aufgaben und vergleichen Sie Ihre Antwort mit dem Erwartungshorizont:
IEEE 802.1Q Frame-Tagging
8 Punkte
In einem Firmennetzwerk werden VLANs über Trunk-Verbindungen zwischen Switchen übertragen.
Beschreiben Sie den Aufbau des 4-Byte 802.1Q-VLAN-Tags (TPID, TCI, VID) und unterscheiden Sie Access- und Trunk-Ports.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Aufbau des 802.1Q-Tags (wird hinter Source-MAC eingefügt):
1. TPID (Tag Protocol Identifier): 2 Byte mit dem festen Hex-Wert 0x8100 zur Identifikation des VLAN-Frames. (2 Pkt.)
2. TCI (Tag Control Information): 2 Byte bestehend aus PCP (3 Bit Priorität / CoS), DEI (1 Bit Drop Eligible) und VID (VLAN Identifier, 12 Bit für 4096 VLANs 0-4095). (2 Pkt.)
Access-Port: Gehört genau einem untagged VLAN an. Endgeräte empfangen Standard-Ethernet-Frames ohne Tag. (2 Pkt.)
Trunk-Port (Tagged): Leitet Datenpakete mehrerer VLANs gleichzeitig weiter; jeder Frame erhält das 802.1Q-Tag (ausgenommen das native VLAN). (2 Pkt.)
Inter-VLAN Routing Router-on-a-Stick
8 Punkte
Zwei Abteilungen befinden sich in VLAN 10 (192.168.10.0/24) und VLAN 20 (192.168.20.0/24). Ein physischer Router ist über eine einzelne Gigabit-Leitung an den Core-Switch angebunden.
Erläutern Sie das Verfahren "Router-on-a-Stick" und geben Sie die wesentlichen Konfigurationsschritte auf dem Router (Subinterfaces, dot1Q) an.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Verfahren: Der Router wickelt das Routing zwischen mehreren VLANs über eine einzige physische Schnittstelle ab, indem diese als Trunk betrieben wird. (2 Pkt.)
Konfigurationsschritte:
1. Physisches Interface aktivieren (no shutdown), keine IP zuweisen. (2 Pkt.)
2. Logische Subinterfaces anlegen (z. B. interface GigabitEthernet0/0.10 und .20). (2 Pkt.)
3. Dem Subinterface das entsprechende VLAN zuweisen (encapsulation dot1Q 10 bzw. 20) und die jeweilige Gateway-IP-Adresse konfigurieren. (2 Pkt.)
Layer-3-Switch SVI Konfiguration
6 Punkte
Zur Entlastung des Routers soll das Routing zwischen zehn VLANs direkt auf einem Layer-3-Core-Switch durchgeführt werden.
Erklären Sie den Unterschied zwischen einem Layer-2- und einem Layer-3-Switch und beschreiben Sie die Funktion eines Switched Virtual Interface (SVI).
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Unterschied: Ein Layer-2-Switch leitet Daten nur innerhalb desselben Broadcast-/VLAN-Segments anhand von MAC-Adressen weiter (Hardware-ASIC). Ein Layer-3-Switch verfügt zusätzlich über Routing-Funktionalität (IP-Routing) auf Hardware-Ebene (ASIC wire-speed routing) und kann ohne externen Router zwischen VLANs routen. (3 Pkt.)
SVI (Switched Virtual Interface): Eine logische Layer-3-Schnittstelle auf dem Switch (z. B. interface Vlan10), der eine IP-Adresse zugewiesen wird. Sie fungiert als Default Gateway für alle Hosts in diesem VLAN. (3 Pkt.)
Spanning Tree Protocol RSTP 802.1w
8 Punkte
Drei Switche sind im Dreieck redundant miteinander verkabelt.
Welche drei gravierenden Netzwerkprobleme treten ohne Spanning Tree auf und wie verhindert Rapid STP (802.1w) Schleifen im Netzwerk?
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Probleme ohne STP:
1. Broadcast Storms: Broadcast-Frames zirkulieren endlos und bringen die Bandbreite zum Einsturz. (1 Pkt.)
2. MAC Table Flapping: Die Switch-Tabellen werden kontinuierlich überschrieben, da derselbe Frame über wechselnde Ports eintrifft. (1 Pkt.)
3. Multiple Frame Transmission: Endgeräte erhalten dieselben Pakete mehrfach. (1 Pkt.)
RSTP-Funktionsweise: Wählt die Root Bridge mit der niedrigsten Bridge-ID (Priorität + MAC). Alle Switche berechnen den kürzesten Pfad zur Root Bridge. Redundante Ports werden in den Zustand "Discarding" (Alternate/Backup Port) versetzt. Bei einem Linkausfall konvergiert RSTP aktiv über Handshake in wenigen hundert Millisekunden. (5 Pkt.)
Link Aggregation LACP 802.3ad
8 Punkte
Zwei Switche werden über vier parallele 1-Gbit/s-Kupferkabel miteinander verbunden.
Erläutern Sie die Vorteile von Link Aggregation (LAG / LACP) gegenüber Einzelverbindungen mit Spanning Tree und beschreiben Sie, wie die Lastverteilung erfolgt.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Vorteile:
1. Bandbreitenbündelung: Alle 4 Links werden gleichzeitig aktiv genutzt (kumulierte Bandbreite 4 Gbit/s), während STP sonst 3 Ports blockieren würde. (3 Pkt.)
2. Unterbrechungsfreie Redundanz: Fällt ein Kabel aus, läuft der Datenverkehr nahtlos über die verbleibenden 3 Leitungen weiter. (2 Pkt.)
Lastverteilung: Erfolgt über Hash-Algorithmen (z. B. Quell-/Ziel-IP, Quell-/Ziel-MAC oder TCP-Ports). Alle Pakete eines einzelnen TCP-Streams laufen über denselben physischen Port, um Paket-Out-of-Order-Probleme zu verhindern (keine 4 Gbit/s für einen Einzel-Download). (3 Pkt.)
OSPF Link-State Routing & Kostenberechnung
8 Punkte
In einem Unternehmensnetzwerk mit mehreren Standorten wird OSPF (Open Shortest Path First) als dynamisches Routing-Protokoll eingesetzt.
Erklären Sie das Link-State-Konzept von OSPF und berechnen Sie die OSPF-Metrik für eine 100-Mbit/s- und eine 10-Gbit/s-Leitung bei einer Referenzbandbreite von 100 Gbit/s (100.000 Mbit/s).
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Link-State-Konzept: Jeder Router baut eine vollständige Topologiekarte des gesamten Netzwerks auf (Link-State Database / LSDB) über Link-State Advertisements (LSAs) und berechnet mit dem Dijkstra-Algorithmus (SPF) den kürzesten Pfad. (4 Pkt.)
Metrik-Formel: Cost = Referenzbandbreite / Interfacebandbreite.
100 Mbit/s Leitung: Cost = 100.000 Mbit/s / 100 Mbit/s = 1000. (2 Pkt.)
10 Gbit/s Leitung (10.000 Mbit/s): Cost = 100.000 Mbit/s / 10.000 Mbit/s = 10. (2 Pkt.)
BGP Autonomous Systems & Peering
6 Punkte
Ein Unternehmen bindet sein Rechenzentrum über zwei verschiedene Internet-Service-Provider (Multihoming) an.
Definieren Sie den Begriff Autonomes System (AS) und erklären Sie den Unterschied zwischen eBGP und iBGP.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Autonomes System (AS): Eine Sammlung von IP-Netzen unter gemeinsamer administrativer Kontrolle und einheitlicher Routing-Policy, das eine weltweit eindeutige ASN (Autonomous System Number) besitzt. (2 Pkt.)
eBGP (External BGP): Routing-Protokoll zum Austausch von Routing-Informationen ZWISCHEN zwei unterschiedlichen Autonomen Systemen (z. B. Kunde <-> Provider). (2 Pkt.)
iBGP (Internal BGP): Austausch von extern gelernten BGP-Routen INNERHALB desselben Autonomen Systems zwischen den Border-Routern. (2 Pkt.)
NAT vs PAT (NAPT) Funktionsweise
8 Punkte
Ein Firmennetzwerk mit 250 Clients nutzt private IPv4-Adressen (10.0.0.0/24) und besitzt eine einzige offizielle, öffentliche IPv4-Adresse am Router.
Erklären Sie den Unterschied zwischen statischem 1:1-NAT und PAT (Port Address Translation / NAT-Overload) und beschreiben Sie die Rolle der Translation-Table.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Statisches NAT (1:1): Mappt eine private IP dauerhaft und exklusiv auf eine öffentliche IP. Für 250 Hosts wären 250 öffentliche IP-Adressen nötig. (2 Pkt.)
PAT (Port and Address Translation / NAPT): Mappt hunderte interne private IP-Adressen auf eine einzige öffentliche IP-Adresse, indem der Router jedem internen Datenstrom einen eindeutigen Quell-Port (Source Port) zuweist. (3 Pkt.)
Translation Table: Der Router führt eine Übersetzungstabelle (Private IP + Private Port <-> Public IP + Übersetzter Port). Eintreffende Antwortpakete aus dem Internet werden anhand der Ziel-Portnummer identifiziert und wieder an den ursprünglichen internen Client zurückgeroutet. (3 Pkt.)
Site-to-Site VPN IPsec IKEv2 Phasen
8 Punkte
Zwei Unternehmensstandorte sollen dauerhaft über ein IPsec-Site-to-Site-VPN verschlüsselt miteinander verbunden werden.
Beschreiben Sie die zwei Phasen des IKEv2-Handshakes (Internet Key Exchange) und unterscheiden Sie die Protokolle AH und ESP.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Phase 1 (IKE_SA_INIT): Aushandeln der Sicherheitsvereinbarungen (Kryptoverfahren, DH-Gruppe) und Erstellen des sicheren, verschlüsselten Tunnels für den weiteren Schlüsselaustausch. (2 Pkt.)
Phase 2 (IKE_AUTH / Child SA): Authentifizierung der Tunnelendpunkte (via Pre-Shared Key oder X.509-Zertifikaten) und Aufbau der eigentlichen IPsec-Sicherheitsassoziationen (SAs) für die Nutzdaten. (2 Pkt.)
AH (Authentication Header): Bietet nur Integrität und Absenderauthentizität, verschlüsselt die Daten NICHT (daher in der Praxis kaum genutzt). (2 Pkt.)
ESP (Encapsulating Security Payload): Bietet Vertraulichkeit (Verschlüsselung mit AES), Integrität und Authentizität. (2 Pkt.)
Stateful Packet Inspection vs Next-Gen Firewall (NGFW)
8 Punkte
Im Unternehmen soll eine alte Paketfilter-Firewall durch eine Next-Generation-Firewall (NGFW) ersetzt werden.
Vergleichen Sie Stateful Inspection mit Deep Packet Inspection (DPI) einer NGFW und nennen Sie zwei moderne NGFW-Features.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Stateful Packet Inspection (SPI): Überwacht den Verbindungszustand von TCP/UDP-Sitzungen (SYN, ACK, FIN) und Header-Informationen auf Layer 3 und 4 (IPs, Ports). Erkennt keine Anwendungsbedrohungen im Payload. (3 Pkt.)
Deep Packet Inspection (DPI): Untersucht die tatsächlichen Anwendungsnutzdaten auf Layer 7 (Payload), unabhängig vom verwendeten Port (erkennt z. B. BitTorrent über Port 80/443). (3 Pkt.)
Zwei NGFW-Features: 1. Intrusion Prevention System (IPS / Signaturerkennung); 2. SSL/TLS-Inspection (Aufbrechen und Scannen verschlüsselter Datenströme). (2 Pkt.)
BGP Path Attributes (AS-Path & Local Preference)
8 Punkte
Ein Internet-Knotenpunkt leitet IP-Präfixe über BGP weiter.
Erläutern Sie die Funktionsweise des BGP-Attributs AS-Path zur Loop-Prävention und beschreiben Sie, wie Local Preference zur Beeinflussung des ausgehenden Datenverkehrs genutzt wird.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
AS-Path Loop Prevention: Jeder BGP-Router hängt beim Weiterleiten einer Route seine eigene Autonomous System Number (ASN) an die AS-Path-Liste an. Empfängt ein Router ein Routing-Update, das seine eigene ASN bereits im AS-Path enthält, verwirft er die Route sofort, um Routing-Schleifen im Internet sicher zu verhindern. (4 Pkt.)
Local Preference: Ein lokales Attribut (nur innerhalb des eigenen AS gültig). Der Pfad mit dem HÖCHSTEN Local-Preference-Wert wird bevorzugt gewählt. Administratoren können so steuern, über welchen von mehreren Uplink-Providern der gesamte ausgehende Datenverkehr das eigene Netz verlassen soll. (4 Pkt.)
Quality of Service QoS DiffServ und DSCP
8 Punkte
Über eine WAN-Verbindung werden gleichzeitig IP-Telefonie (VoIP-Sprachdaten) und große Dateidownloads übertragen. Die Sprachqualität leidet unter Aussetzern (Jitter).
Erläutern Sie, wie Quality of Service (QoS) nach dem Differentiated Services Modell (DiffServ) mittels DSCP-Werten im IP-Header (z. B. Expedited Forwarding EF vs Best Effort) das Problem löst.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
DiffServ-Funktionsweise: Im IPv4-Header (TOS-Byte) bzw. IPv6-Header (Traffic Class) werden 6 Bit als Differentiated Services Code Point (DSCP) verwendet, um Datenpakete in Prioritätsklassen einzuteilen. Switche und Router werten diesen Wert aus und reihen Pakete in getrennte Ausgangswarteschlangen (Queues) ein. (4 Pkt.)
Klassen-Zuordnung:
- VoIP: Erhält den DSCP-Wert EF (Expedited Forwarding / DSCP 46) mit Prioritätswarteschlange (Priority Queuing), sodass Sprachpakete immer vor allen anderen Daten ohne Wartezeit weitergeleitet werden (minimiert Latenz und Jitter). (2 Pkt.)
- Dateidownloads: Werden als Best Effort (DSCP 0) oder Assured Forwarding (AF) klassifiziert und bei Leitungsengpässen gedrosselt. (2 Pkt.)
IPsec NAT-Traversal (NAT-T)
6 Punkte
Ein Mitarbeiter verbindet sich aus einem Hotel-WLAN (hinter einem PAT-Router) per IPsec-VPN mit der Firmenzentrale.
Erklären Sie, warum Standard-IPsec mit ESP an PAT-Routern scheitert und wie NAT-Traversal (NAT-T auf UDP Port 4500) das Problem löst.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Problem: ESP (IP-Protokoll 50) besitzt keine TCP/UDP-Portnummern. Ein handelsüblicher PAT-Router kann eingehende Antwortpakete daher keinem internen Client zuordnen. Zudem bricht jede Modifikation des IP-Headers durch NAT die kryptografische Integritätsprüfung (AH scheitert immer). (3 Pkt.)
Lösung NAT-T (RFC 3948): Erkennt beim IKE-Handshake ein NAT-Gateway. Das gesamte ESP-Paket wird in ein reguläres UDP-Paket auf Port 4500 gekapselt (UDP Encapsulation). Der PAT-Router kann nun den UDP-Port manipulieren und übersetzen, während die internen ESP-Verschlüsselungsdaten unberührt bleiben. (3 Pkt.)
VPN-Protokolle WireGuard vs OpenVPN
8 Punkte
Für mobile Arbeitsplätze wird ein modernes VPN ausgewählt.
Vergleichen Sie WireGuard und OpenVPN bezüglich Architektur (Kernel- vs User-Space), Code-Komplexität, Krypto-Agilität und Roaming-Fähigkeit.
💡 Offizieller IHK-Erwartungshorizont & Punkteverteilung
Architektur & Performance: WireGuard läuft direkt im Linux-Kernel-Space; OpenVPN läuft im User-Space und muss jedes Paket über TUN/TAP-Treiber kopieren (höherer Kontextwechsel und CPU-Overhead). WireGuard erzielt deutlich höheren Durchsatz. (2 Pkt.)
Codebasis: WireGuard hat ca. 4.000 Zeilen Code (einfach auditierbar, minimale Angriffsfläche); OpenVPN hat über 100.000 Zeilen Code. (2 Pkt.)
Kryptografie: WireGuard verzichtet bewusst auf Krypto-Agilität und nutzt ein festes, modernes Krypto-Set (ChaCha20, Poly1305, Curve25519); OpenVPN unterstützt OpenSSL mit variablen Chiffren. (2 Pkt.)
Roaming: WireGuard bindet Sitzungen an kryptografische Schlüssel und öffentliche Endpunkte; wechselt ein Laptop von WLAN zu LTE, bleibt der Tunnel ohne Neu-Handshake sofort aktiv. (2 Pkt.)